Cómo una vulnerabilidad a nivel de fondo se convierte en un problema a nivel de todo el protocolo
Presión de liquidez y riesgo de retiradas
Cuando se difundió la noticia de la vulnerabilidad el 31 de julio de 2023, los proveedores de liquidez del ecosistema de Curve comenzaron a retirar fondos como medida de precaución, incluso de aquellos fondos que no habían sido afectados por la vulnerabilidad de Vyper. Este comportamiento, común tras ataques de gran repercusión en el ámbito de las criptomonedas descentralizadas (DeFi), redujo la profundidad de los fondos y aumentó los costos de transacción para los traders que utilizaban el protocolo Curve para operar con criptomonedas estables.
Exposición de los fondos basados en CRV, garantías y dinámicas de liquidación
La pérdida de fondos en el fondo basado en CRV/ETH, documentada por Rekt News, se combinó con otro riesgo adicional: las garantías en CRV que el fundador de Curve tenía depositadas en plataformas como Aave, Fraxlend y Abracadabra. Una caída significativa en el precio de CRV, como la que suele ocurrir tras un ataque de gran envergadura, podría haber llevado esas posiciones a umbrales de liquidación.El CRV cotizaba a aproximadamente $0,348834 en el último momento de datos de mercado disponible, con un cambio del 24% positivo; sin embargo, ese dato no refleja la situación en el momento del incidente de 2023 y no puede utilizarse para evaluar la solvencia actual del protocolo.
Riesgos de contagio en el ámbito del DeFi
El incidente de julio de 2023 demostró cómo la centralidad estructural de Curve en el DeFi puede generar efectos negativos que se extienden mucho más allá de sus propios sistemas. Dado que los tokens de los fondos de Curve (LP) sirven como garantía en varios protocolos de mercado monetario, y debido a que los emisores de monedas estables utilizan Curve para mantener la estabilidad de sus precios, cualquier pérdida de confianza en el modelo de seguridad de Curve afecta simultáneamente los costos de endeudamiento, la estabilidad de los precios y la valoración de las garantías en todo el ecosistema del DeFi. Es importante distinguir entre las deficiencias a nivel de protocolo y las pérdidas reales de los usuarios individuales: una reducción en los fondos de un determinado sistema afecta directamente a los participantes de ese fondo, mientras que los efectos secundarios en los tokens de garantía de CRV y en el sistema de distribución de monedas estables pueden afectar a usuarios que no tuvieron contacto directo con los contratos vulnerables. Un ejemplo similar se observó en el ataque contra el puente de intercambio de monedas estables Initia USDC, donde un exploit dirigido se propagó a través de la infraestructura conectada, causando problemas en otros sistemas.
Qué indica la documentación y el estado actual del protocolo de Curve
Hasta la fecha de publicación de este artículo, la aplicación en línea de Curve se describe a sí misma como una capa de interfaz de usuario que conecta con los contratos inteligentes activos de este protocolo.La documentación del protocolo continúa describiendo operaciones disponibles para los usuarios, como la enrutación de intercambios funcionales, el suministro de liquidez, los préstamos y los depósitos en Llamalend, así como la gobernanza de veCRV. Ninguna de estas fuentes oficiales contiene una declaración que reconozca una deuda de 930 millones de dólares, una obligación de compensación, la clausura del protocolo o una medida de gobernanza de emergencia relacionada con dicha cifra.La ausencia de un anuncio oficial no descarta la existencia de un evento de estrés, pero en el ámbito del DeFi, donde las propuestas de gobernanza, las transacciones en cadena y las acciones de múltiples firmas de emergencia son verificables públicamente en tiempo real, una deuda de esa magnitud casi seguramente dejaría huellas visibles en la cadena, un post en foros de gobernanza o una declaración del equipo de Curve. Ninguno de estos indicios se encontró entre las pruebas verificadas en el momento de la redacción. Los lectores deben considerar la cifra de 930 millones de dólares como no confirmada hasta que surjan fuentes primarias.
¿Quién asume el riesgo y qué debe ser monitoreado?
Proveedores de liquidez y exposición específica de los pools
En cualquier incidente relacionado con los pools de Curve, las partes directamente afectadas son los proveedores de liquidez de esos pools, no los usuarios que depositaron fondos en pools separados y no afectados. El desvío de 69 millones de dólares ocurrido en julio de 2023 se concentró en cuatro pools que utilizaban versiones vulnerables de Vyper; los proveedores de liquidez (LPs) de pools que utilizaban versiones seguras de Vyper o contratos que no dependían de Vyper no se vieron afectados directamente. Cualquier incidente futuro, independientemente de que la acusación de 930 millones de dólares tenga fundamento real o no, requeriría una identificación específica de los pools antes de que los proveedores de liquidez puedan evaluar su propio riesgo.Comprobar las direcciones de los contratos de los pools en relación con las versiones específicas de Vyper que se indicaron en los informes posteriores al incidente sigue siendo el paso principal de diligencia debida para los inversores que evalúan sus posiciones en pools heredados.
Para los poseedores de tokens CRV y aquellas posiciones que utilizan estos tokens como garantía, el incidente de 2023 ilustró un mecanismo de riesgo de segundo nivel: una cantidad significativa de tokens CRV como garantía estaba concentrada en las posiciones de préstamo de una sola entidad, lo que significaba que los participantes del mercado estaban, de hecho, “apostando en contra” de la volatilidad del precio de los CRV, incluso sin poseerlos directamente. Cualquier evento en el protocolo que amenace una caída brusca del precio de los CRV puede generar una exposición involuntaria para los prestamistas que han concedido crédito basado en estos tokens como garantía. Los poseedores que monitorizan cualquier señal de nuevo estrés deben observar las tasas de utilización de los tokens CRV como garantía en servicios como Aave, Fraxlend y el propio Llamalend de Curve, ya que los umbrales de liquidación en estas posiciones determinan niveles de precios en los que las ventas forzadas se aceleran.
Los planes de recuperación, las votaciones de gobernanza y las incógnitas pendientes
Tras el ataque de julio de 2023, la comunidad de Curve y los protocolos asociados coordinaron la recuperación parcial de los fondos con la ayuda de expertos («whitehats») y negociaron el reembolso de los daños causados por los atacantes. El proceso de gobernanza y los términos específicos de esas negociaciones están documentados en los foros de gobernanza de Curve, lo que constituye el registro oficial de la respuesta del protocolo tras el incidente. No se encontraron acciones de gobernanza similares en relación con la pérdida de 930 millones de dólares en los datos revisados para este artículo. Los lectores que siguen cualquier situación en desarrollo en Curve deben monitorizar el foro oficial de gobernanza y la actividad de los sistemas de firma múltiple (multisig) en la cadena para saber si se ha propuesto o se ha ejecutado alguna medida de emergencia.
En el panorama más amplio de la seguridad en el ámbito de la DeFi, eventos como el incidente documentado en 2023 y las dudas persistentes sobre la cifra no verificada de 930 millones de dólares reflejan un desafío estructural que afecta a todos los protocolos compuestos: la brecha entre la revisión de la seguridad a nivel de código y las garantías a nivel de compilador. El error en Vyper no pudo ser detectado mediante los procesos de auditoría estándar centrados en la lógica de los contratos; se requirió un análisis detallado del compilador, algo que la mayoría de las empresas de auditoría no realizaba de forma rutinaria en 2023. Desde entonces, esa brecha se ha reducido gracias a los trabajos realizados después del incidente en el proceso de compilación de Vyper y a una mayor vigilancia de las versiones del compilador utilizadas en las implementaciones de los pools.
¿Por qué esto es importante para la arquitectura de riesgo de la DeFi?
El papel de Curve como principal intercambiador de monedas estables en la DeFi significa que su seguridad no es un asunto aislado. El protocolo maneja una parte desproporcionadamente grande del volumen de transacciones de monedas estables; sus tokens LP funcionan como garantía en todo el ecosistema del mercado monetario, y las emisiones de CRV influyen en el diseño de los incentivos de liquidez en los protocolos que dependen de los pesos determinados por Curve. Esta componibilidad genera ganancias de eficiencia en condiciones normales, pero también amplifica los riesgos durante eventos de estrés, como demostró el incidente de julio de 2023, cuando las pérdidas en los pools afectaron directamente la presión sobre las garantías en las plataformas de préstamos externas.
La evolución de la gestión de riesgos en el mercado de DeFi desde 2023 ha incluido una mayor atención a la contabilidad de deudas incumplidas, mecanismos de seguro a nivel de protocolo y parámetros de riesgo controlados por la gobernanza en las plataformas de préstamo.Proyectos como las iniciativas de monitoreo de riesgos en el ámbito del DeFi que surgieron después de 2022 y 2023 ahora analizan el riesgo de concentración en los activos de garantía y señalan los protocolos en los que la posición de una sola entidad puede generar una exposición sistémica. La concentración de activos de garantía en el protocolo CRV fue un ejemplo concreto mencionado en varias discusiones sobre marcos de riesgo posteriores a 2023, lo que convierte a Curve en un caso de estudio sobre cómo el diseño de la tokenomics interacciona con la estabilidad del mercado de préstamos. Este mismo patrón de concentración de posiciones que genera una exposición sistémica involuntaria también se ha observado en los debates sobre DeFi tras las dinámicas de reducción del apalancamiento en Bitcoin, donde las consecuencias en los activos de garantía ilustraron mecanismos de amplificación similarmente significativos. El Índice de Miedo y Codicia en el Mundo Criptográfico (Crypto Fear and Greed Index) actualmente indica un valor de 50, lo que se clasifica como “Neutro”. Este nivel representa una situación de sentimiento de mercado que no sugiere un pánico sistémico agudo, pero tampoco refleja las condiciones de finales de julio de 2023, cuando el problema detectado en Curve provocó una verdadera ansiedad generalizada en el ámbito del DeFi. El contexto del sentimiento de mercado es importante a la hora de calibrar la velocidad con la que un evento de estrés en un protocolo clave de liquidez podría propagarse a los precios del mercado; un punto de partida neutro implica que cualquier pérdida a gran escala en Curve afectaría un mercado que no cuenta con mecanismos previos de amortiguación del impacto. **Preguntas Frecuentes (FAQ):** ¿Perdió Curve 930 millones de dólares? Según informes no confirmados, se ha señalado una deficiencia de 930 millones de dólares, pero en el momento de la publicación no se encontró ningún anuncio oficial, evidencia en la cadena de bloques, propuesta de gobernanza ni informe secundario verificado que respaldara esta cifra.La única pérdida a gran escala verificada y relacionada con Curve que se ha revisado aquí es la de 69 millones de dólares que se sustrajeron el 31 de julio de 2023 a través de una vulnerabilidad en el protocolo Vyper, según lo documentado por Rekt News.
¿Sigue funcionando Curve?
Según la documentación oficial de Curve y la aplicación en tiempo real, el protocolo continúa ofreciendo funciones de intercambio, liquidez, préstamo y gobernanza. No se encontró ningún anuncio de cierre ni pausa de emergencia en las comunicaciones oficiales de Curve revisadas para este artículo.
¿Están afectados los proveedores de liquidez de Curve?
No hay evidencia verificada que sugiera que los inversores de Curve (LPs) estén sufriendo pérdidas debido a una deficiencia económica de 930 millones de dólares. En el incidente documentado en julio de 2023, solo los inversores de los cuatro grupos específicos que utilizaban versiones vulnerables de Vyper sufrieron pérdidas directas; los inversores de los grupos no afectados no se vieron afectados. Cualquier futuro incidente específico de un grupo requeriría un análisis detallado de cada grupo antes de poder evaluar el posible impacto en los inversores.
¿Qué causó la deficiencia económica de Curve?
La causa verificada de la mayor pérdida registrada por Curve fue una vulnerabilidad de reentrancia en versiones antiguas del compilador Vyper, que desactivó las medidas de protección contra reentrancia en los grupos afectados, a pesar de que el código fuente parecía incluir dichas medidas. La supuesta deficiencia económica de 930 millones de dólares no tiene una causa verificada en la evidencia revisada. No se debe confundir estas dos cifras.
